نقل البيانات عبر الحدود من تركيا بموجب KVKK: النظام بعد إصلاح 2024

إذا كانت مجموعتك ترسل بيانات الموارد البشرية أو الرواتب أو العملاء إلى خارج تركيا، فبإمكانك الآن نقلها إلى الخارج ضمن نظام متدرّج يحاكي إلى حدٍّ بعيد اللائحة الأوروبية لحماية البيانات (GDPR). القانون الحاكم هو قانون حماية البيانات الشخصية التركي (Kişisel Verilerin Korunması Kanunu، KVKKKVKKقانون حماية البيانات الشخصية رقم 6698قانون حماية البيانات في تركيا — قواعد جمع البيانات الشخصية وحفظها ونقلها، والهيئة التي تُنفّذها.المعجم → رقم 6698)، وقد أُعيدت صياغة قواعده المتعلقة بالنقل الدولي بموجب القانون رقم 7499، على أن يسري نظام النقل الجديد اعتباراً من 1 يونيو 2024. وبموجب المادة 9 الجديدة، يجوز لك نقل البيانات إلى الخارج أولاً استناداً إلى قرار كفاية (yeterlilik kararı) صادر عن المجلس؛ وفي حال عدم وجوده، استناداً إلى ضمانات ملائمة (uygun güvenceler) مثل البنود التعاقدية النموذجية أو القواعد المؤسسية المُلزِمة؛ وحصراً عند غياب كليهما، استناداً إلى مجموعة ضيّقة من الاستثناءات الطارئة. يشرح هذا الدليل، بعبارات واضحة، معنى كل مستوى وكيف يؤثر في الشركات الأجنبية التي تنقل بيانات مرتبطة بتركيا.

من تشمله هذه القواعد ولماذا تغيّرت

إذا كنت شركة أجنبية أو جزءاً من مجموعة دولية وتنقل بيانات شخصية إلى خارج تركيا — سجلات موظفين إلى نظام الموارد البشرية لدى الشركة الأم، أو بيانات عملاء إلى منصة سحابية مستضافة في الخارج، أو بيانات موردين وجهات اتصال إلى نظام إدارة علاقات عملاء (CRM) مشترك — فإن هذه القواعد تنطبق عليك. وهي تنطبق سواء كنت مسؤول البيانات (veri sorumlusu)، أي الجهة التي تقرر لماذا وكيف تُعالَج البيانات، أو معالِج البيانات (veri işleyen) الذي يتصرف وفق تعليمات مسؤول البيانات.

قبل إصلاح 2024، كانت قاعدة النقل الدولي في KVKK صعبة التطبيق عملياً. فقد كان نقل البيانات إلى الخارج يعتمد عادةً إما على الموافقة الصريحة (açık rıza) لصاحب البيانات، أو على تعهّد مكتوب مقروناً بإذن من المجلس، في حين لم تُفعَّل آلية الكفاية التي نصّ عليها القانون عملياً. وهذا ما دفع كثيراً من الشركات متعددة الجنسيات إلى الاعتماد على الموافقة في تدفّقات البيانات الروتينية على مستوى المجموعة — وهو أساس هشّ، لأن الموافقة يمكن سحبها في أي وقت.

وقد استبدل القانون رقم 7499 هذا الإطار بنموذج متدرّج يحاكي عن كثب بنية اللائحة الأوروبية العامة لحماية البيانات (GDPR). وكان الهدف تزويد الشركات بأدوات نقل عملية وقابلة للتكرار بدلاً من إجبارها على الاتّكاء على الموافقة. ويبقى القانون الحاكم هو Kişisel Verilerin Korunması Kanunu رقم 6698؛ أما الأداة المعدِّلة فهي القانون رقم 7499، وقد سرت أحكام النقل الجديدة في 1 يونيو 2024.

البنية المتدرّجة الجديدة في لمحة

يعمل النظام بعد القانون 7499 بوصفه تسلسلاً. فأنت تنتقل إلى المستوى التالي فقط عندما لا يكون المستوى الأعلى منه متاحاً لعملية النقل الخاصة بك:

• المستوى الأول — قرار الكفاية (yeterlilik kararı). يجوز للمجلس أن يقرر أن دولة، أو قطاعاً داخل دولة، أو منظمة دولية توفّر مستوى حماية ملائماً. فإذا شمل مثل هذا القرار وجهتك، جاز لك النقل استناداً إليه (إلى جانب الشروط العامة للمعالجة المشروعة في KVKK).
• المستوى الثاني — الضمانات الملائمة (uygun güvenceler). في حال عدم وجود قرار كفاية، لا يزال بإمكانك النقل حيث يضع الطرفان ضمانات ملائمة ويكون بمقدور أصحاب البيانات ممارسة حقوقهم والوصول إلى سُبل انتصاف قانونية فعّالة في دولة الوجهة.
• المستوى الثالث — الحالات الاستثنائية (arızi haller). في حال عدم وجود قرار كفاية ولا ضمانات ملائمة، لا يُسمح بالنقل إلا في ظروف محدّدة واستثنائية وغير روتينية.

وهذا الترتيب مهمّ. فالاستثناءات في المستوى الثالث مصمَّمة للحالات العارضة، لا بديلاً عن بناء ضمانة سليمة لتدفّقات البيانات المتكرّرة. فإن كانت مجموعتك تنقل الفئات نفسها من البيانات إلى الخارج شهراً بعد شهر، فمكانك الصحيح هو المستوى الأول أو الثاني.

المستوى الأول: قرارات الكفاية

قرار الكفاية هو تحديد صادر عن مجلس حماية البيانات الشخصية (Kişisel Verileri Koruma Kurulu) — الجهة داخل هيئة حماية البيانات الشخصية (Kişisel Verileri Koruma Kurumu، KVKK) — بأن الوجهة توفّر مستوى حماية مماثلاً لمستوى تركيا. ويمكن أن يصدر القرار بشأن دولة بأكملها، أو قطاعات معيّنة داخل دولة، أو منظمات دولية محدّدة.

وحيث يشمل قرار كفاية وجهتك، يُعامَل النقل إليها معاملةً شبيهة بعملية معالجة داخلية لأغراض آلية النقل: فلا تحتاج إلى إضافة ضمانة نقل منفصلة، وإن كنت لا تزال بحاجة إلى أساس مشروع للمعالجة الأساسية، وعليك الالتزام بالمبادئ العامة في KVKK. وتُراجَع قرارات الكفاية دورياً ويمكن تعديلها.

المستوى الثاني: الضمانات الملائمة (الأدوات اليومية للمجموعات)

بالنسبة إلى معظم المجموعات الأجنبية، هذا هو الأساس العملي المعتمَد. فحيث لا يوجد قرار كفاية للوجهة، يجوز لك النقل إذا تَوافرت ضمانات ملائمة وكان بمقدور صاحب البيانات ممارسة حقوقه والوصول إلى سُبل انتصاف فعّالة. ويقرّ KVKK الآن بعدة آليات ضمان:

البنود التعاقدية النموذجية (standart sözleşme)

هي بنود نموذجية، بصيغة تصدرها الهيئة، توقَّع بين مُصدِّر البيانات في تركيا ومستورِد البيانات في الخارج. وهي تُلزم المستورِد بحماية البيانات وفق معيار متّسق مع القانون التركي. ومن السمات المميّزة للنظام التركي وجود التزام بالإخطار: إذ يُتوقَّع من الطرفين، بعد توقيع البنود التعاقدية النموذجية، إخطار الهيئة خلال مدة محدّدة. ولأن هذه المدة والتفاصيل الإجرائية الدقيقة للإيداع محدّدة باللوائح وقد تغيّرت أثناء التطبيق، عامِل الموعد النهائي بوصفه خطوة امتثال إلزامية وتحقّق من التوقيت الراهن.

القواعد المؤسسية المُلزِمة (bağlayıcı şirket kuralları)

هي قواعد داخلية لحماية البيانات تُعتمَد على نطاق مجموعة الشركات، وتتيح النقل بين كيانات المجموعة. ويجب أن يوافق عليها المجلس قبل أن يكون بمقدورك الاعتماد عليها. وبالنسبة إلى شركة متعددة الجنسيات تنقل بيانات الموارد البشرية والبيانات داخل المجموعة بصورة روتينية، يمكن أن تكون القواعد المؤسسية المُلزِمة حلاً فعّالاً على المدى الطويل، وإن كان الحصول على الموافقة يتطلّب وقتاً وجهداً.

ضمانات أخرى معترف بها

يستوعب الإطار أيضاً ضمانات مثل التعهّدات المُلزِمة والقابلة للإنفاذ بين الطرفين، والترتيبات بين السلطات أو الهيئات العامة. وتحديد الآلية المناسبة يتوقّف على مَن يرسل البيانات، ومَن يتلقّاها، وما إذا كان الطرفان ضمن المجموعة نفسها.

المستوى الثالث: عمليات النقل الاستثنائية وفق كل حالة على حدة

حيث لا يتوافر قرار كفاية ولا ضمانات ملائمة، يسمح KVKK بالنقل فقط في حالات استثنائية محدّدة — مثل بعض عمليات النقل القائمة على الموافقة الصريحة لصاحب البيانات بعد إبلاغه بالمخاطر، أو عمليات النقل اللازمة لتنفيذ عقد مع صاحب البيانات أو لمصلحته، أو عمليات النقل اللازمة لمصلحة عامة راجحة، أو لإثبات حقّ قانوني أو حمايته، أو لحماية حياة شخص عاجز عن إبداء موافقته أو سلامته الجسدية.

وهذه الاستثناءات ضيّقة عن قصد. فالقانون يصفها بأنها عارضة أو غير متكرّرة (arızi) — وهي لا يُقصد بها دعم مسار مستقرّ ومستمرّ لنقل البيانات نفسها إلى الخارج. فإن وجدت نفسك تعتمد على استثناء من أجل تدفّق متكرّر، فذلك عادةً إشارة إلى أنه ينبغي لك بدلاً من ذلك اعتماد آلية من المستوى الأول أو الثاني.

الفئات الخاصة والالتزامات الأخرى التي يجب مراعاتها

آلية النقل ليست سوى طبقة واحدة. فأنت بحاجة أيضاً إلى أساس مشروع للمعالجة الأساسية، وعليك مراعاة المبادئ العامة في KVKK — المشروعية والإنصاف، والدقّة، وتحديد الغرض، وتقليل البيانات، وتحديد مدة التخزين.

أما الفئات الخاصة من البيانات الشخصية (özel nitelikli kişisel veri) — مثل البيانات الصحية أو البيومترية أو الدينية أو المتعلقة بالنقابات — فتخضع لشروط أكثر صرامة في المعالجة والنقل. فإن تضمّن نقلك بيانات حسّاسة، صار التحليل أكثر تطلّباً وينبغي التحقّق منه بعناية.

وتنشأ عادةً في مشاريع النقل عدة التزامات مرافِقة، ويمكن أن يحمل كلٌّ منها واجبات إيداع خاصة به، ومُهَلاً زمنية، وتعرّضاً لغرامات إدارية:

• إشعارات المعلومات (الخصوصية) لأصحاب البيانات تصف النقل وأساسه.
• التسجيل في VERBİS، سجلّ مسؤولي البيانات، حيثما ينطبق ذلك — وتتوقّف واجبات التسجيل على عتبات وإعفاءات ينبغي لك التحقّق منها بالنسبة إلى مؤسستك.
• الاستجابة لطلبات أصحاب البيانات خلال المدة التي يجيزها القانون.
• الإخطار بخرق البيانات الشخصية إلى الهيئة وإلى الأفراد المتضرّرين خلال الإطار الزمني الذي تتطلّبه القواعد.

مسار عملي للمجموعات الأجنبية

إذا كنت ترسم خريطة لتدفّقات بيانات ممتثِلة، فإن التسلسل العملي يبدو على النحو الآتي:

• ارسم خريطة عمليات نقلك. حدّد أي بيانات شخصية تغادر تركيا، وإلى أي دول وكيانات، ولأي غرض، وما إذا كان أيٌّ منها حسّاساً.
• تحقّق من وجود قرار كفاية. فإن كانت وجهتك مشمولة، فهذا هو أنقى أساس لك.
• وإن لم تكن، فاختر ضمانة. بالنسبة إلى التدفّقات المتكرّرة داخل المجموعة، وازِن بين البنود التعاقدية النموذجية والقواعد المؤسسية المُلزِمة. وتذكّر أن البنود تحمل خطوة إخطار، وأن القواعد المؤسسية المُلزِمة تحتاج إلى موافقة المجلس.
• احتفظ بالاستثناءات للحالات العارضة الحقيقية. لا تدعها تصبح الخيار الافتراضي لعمليات النقل المتكرّرة.
• واءِم بقية امتثالك. فإشعارات الخصوصية، والتزامات التسجيل، ومعالجة طلبات أصحاب البيانات، وإجراءات الخرق ينبغي أن تعكس جميعها النقل الذي اخترته.

إن الآلية الدقيقة التي تناسب مجموعتك تتوقّف على هيكلك، ووجهاتك، والبيانات المعنيّة، ولا يزال التفصيل التنظيمي في تطوّر مع إصدار الهيئة إرشادات. وحيث تتوقّف النتائج على الوقائع وعلى ممارسة المجلس الراهنة، من الحكمة الحصول على مشورة مصمَّمة خصيصاً بدلاً من تطبيق قالب عام.

الأسئلة الشائعة